엔드투엔드 동적 인가 워크플로

평소와 같은 방식으로 엔드포인트를 만듭니다. 별도 보안 애노테이션은 필요하지 않습니다.

@RestController
@RequestMapping("/api/v1/invoices")
public class InvoiceController {

    @GetMapping
    public List<InvoiceDto> listInvoices() {
        return invoiceService.findAll();
    }

    @PostMapping
    public InvoiceDto createInvoice(@RequestBody CreateInvoiceRequest req) {
        return invoiceService.create(req);
    }

    @DeleteMapping("/{id}")
    public void deleteInvoice(@PathVariable Long id) {
        invoiceService.delete(id);
    }
}

MvcResourceScanner는 애플리케이션 시작 시 자동으로 실행됩니다. 모든 컨트롤러의 @RequestMapping, @GetMapping, @PostMapping, @PutMapping, @DeleteMapping, @PatchMapping을 스캔합니다.

예제에서는 세 개의 새 리소스가 데이터베이스에 등록됩니다.

수동 등록은 필요하지 않습니다. 스캐너가 자동으로 탐색합니다.

관리자 콘솔에서 Policy Center를 엽니다. 현재 OSS 템플릿 트리에서는 발견된 리소스를 다루는 주요 클라이언트 화면이 Policy Center이며, 레거시 컨트롤러 경로는 서버 코드에만 남아 있습니다.

각 리소스에 대해 다음 작업을 수행할 수 있습니다.

• AI가 생성한 표시 이름과 설명을 검토합니다. 예: "List Invoices", "Create Invoice", "Delete Invoice"
• 역할/권한 정책으로 관리하려는 리소스를 Permission으로 정의합니다.
• 공개로 유지할 리소스라면 인가 관리 대상에서 제외하거나, 이미 제외한 리소스를 복원합니다.

현재 OSS 정책 작성 흐름의 중심은 Policy Center입니다. 빠른 역할-권한 매핑, 수동 작성, AI 보조 초안 생성이 모두 여기서 이루어집니다.

옵션 A: 빠른 모드

가장 빠른 경로입니다. 역할과 권한을 선택하고 단순한 ALLOW 정책을 저장합니다.

1. 리소스를 선택합니다. 예: GET:/api/v1/invoices
2. 대상 역할 ADMIN, ACCOUNTANT를 선택합니다.
3. 권한 INVOICES_READ를 할당합니다.
4. 효과는 ALLOW로 설정합니다.
5. Quick 모드의 Create Policy 버튼으로 저장하거나, 리소스 표면에서 먼저 Create Permission & Policy를 눌러 작성 흐름에 진입합니다.

이렇게 생성된 정책은 hasAnyRole('ADMIN', 'ACCOUNTANT')에 해당하는 간단한 규칙이지만, 코드가 아니라 데이터베이스에 저장됩니다.

옵션 B: 수동 / AI 지원 모드

복잡한 인가 로직, 추가 조건, 다중 타깃, AI 보조 초안이 필요한 경우 사용합니다.

Policy: "Invoice Deletion - Restricted"
  Target:   DELETE:/api/v1/invoices/{id}
  Effect:   ALLOW
  Roles:    ADMIN
  Conditions:
    - Time:  weekdays 09:00-18:00 only
    - IP:    internal network (10.0.0.0/8)
    - AI:    #ai.hasActionIn('ALLOW', 'CHALLENGE')

BusinessPolicyServiceImpl는 이런 비즈니스 입력을 런타임에 평가 가능한 정책 타깃, 규칙, SpEL/XACML 호환 조건으로 변환해 저장합니다.

정책은 데이터베이스에 저장됩니다. CustomDynamicAuthorizationManager는 PolicyRetrievalPoint를 통해 정책을 로드하고(캐시 포함), 런타임 매처 목록을 구성합니다.

예를 들어 DELETE /api/v1/invoices/42 요청이 들어오면 다음 순서로 처리됩니다.

1. Spring Security가 CustomDynamicAuthorizationManager에 인가 판단을 위임합니다.
2. 매니저가 요청 URL을 "Invoice Deletion - Restricted" 정책과 매칭합니다.
3. 역할, 시간, IP 대역, 현재 AI 액션 상태 등 모든 조건을 평가합니다.
4. 모든 조건이 통과하면 AuthorizationDecision(true)를 반환합니다.
5. URL 인가 결과가 거부일 경우 CentralAuditFacade가 요청/결과 맥락과 함께 비동기로 기록합니다.

결과: 엔드포인트가 동적으로 보호됩니다. 코드 변경도, 재배포도 필요 없습니다. 정책은 관리자 화면에서 언제든지 수정할 수 있습니다.

@Service
public class DocumentService {

    @Protectable(ownerField = "createdBy")
    public Document getDocument(Long documentId) {
        return documentRepository.findById(documentId)
            .orElseThrow(() -> new NotFoundException("Document not found"));
    }

    @Protectable(ownerField = "createdBy")
    public void updateDocument(Long documentId, UpdateDocumentRequest req) {
        Document doc = documentRepository.findById(documentId)
            .orElseThrow(() -> new NotFoundException("Document not found"));
        doc.setTitle(req.getTitle());
        doc.setContent(req.getContent());
        documentRepository.save(doc);
    }
}

ownerField는 반환된 엔티티에서 소유자를 식별하는 필드 또는 getter 이름을 지정합니다. 이를 통해 리소스 소유자는 자신의 데이터에 언제나 접근할 수 있도록 소유권 기반 인가를 적용할 수 있습니다.

MethodResourceScanner는 모든 빈에서 @Protectable 애노테이션을 찾아 METHOD 타입 리소스로 등록합니다.

현재 OSS 관리자 경험에서는 METHOD 유형 리소스도 URL 리소스와 함께 Policy Center 리소스 영역에 표시됩니다. 라이프사이클도 동일합니다. 검토, 권한 정의, 정책 연결, 제외 흐름을 같은 방식으로 따릅니다.

선택한 METHOD 리소스 맥락에서 정책 작성 흐름을 열고, 소유권 조건과 추가 조건을 함께 사용하는 정책을 만들 수 있습니다.

Policy: "Document Update - Owner or Admin"
  Target:   DocumentService.updateDocument
  Effect:   ALLOW
  Rules:
    Rule 1 (Owner Access):
      Condition: #ownership.isOwner(authentication, returnObject)
      Effect:    ALLOW
    Rule 2 (Admin Override):
      Condition: hasRole('ADMIN')
      Effect:    ALLOW
    Rule 3 (AI Risk Gate):
      Condition: #ai.isBlocked()
      Effect:    DENY (overrides all)

이 정책은 문서 소유자 또는 ADMIN에게 update 권한을 허용하지만, Zero Trust 액션이 BLOCK으로 해석되면 작업을 거부합니다.

정책은 이제 메서드 수준에서 적용됩니다. updateDocument()가 호출되면 Contexa의 AOP 인터셉터가 메서드 실행 전에 정책을 평가합니다. 소유권은 authentication.getName()과 엔티티의 createdBy 필드를 비교해 판단합니다.

Contexa IAM 의존성을 추가하면 MvcResourceScanner가 자동 구성되어 시작 시 실행됩니다. 기존 엔드포인트가 자동으로 발견되고 리소스로 등록됩니다.

// With the starter on the classpath, MVC and method resource scanners
// are auto-configured and populate managed resources at startup.

관리자 콘솔의 Policy Center를 열고, 발견된 리소스를 검토합니다. 표시 이름을 확인하고, 필요한 리소스는 권한으로 정의하고, 공개로 남길 엔드포인트는 제외합니다. 이렇게 애플리케이션 전체 보호 표면을 인벤토리로 만들 수 있습니다.

각 리소스(또는 리소스 그룹)에 대해 Policy Center에서 동등한 동적 정책을 생성합니다. 기존 정적 규칙은 다음과 같이 매핑할 수 있습니다.

전환이 끝나면 시간 조건, IP 제한, AI 위험 판단과 같은 정적 구성으로는 어려운 조건을 즉시 추가할 수 있습니다.

정적 보안 구성을 다음 한 줄 중심의 동적 구성으로 바꿉니다.

@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http,
        CustomDynamicAuthorizationManager customDynamicAuthorizationManager)
        throws Exception {
    http.authorizeHttpRequests(auth -> auth
        .requestMatchers("/css/**", "/js/**", "/images/**").permitAll()
        .requestMatchers("/api/public/**").permitAll()
        .anyRequest().access(customDynamicAuthorizationManager)
    );
    return http.build();
}

정적 matcher는 공개 리소스(정적 자산, 공개 API)처럼 정말로 공개여야 하는 영역에만 남기고, 나머지는 동적 인가 매니저에 위임합니다.

명시적인 정책이 없는 리소스에 대한 기본 동작을 정합니다. 자세한 내용은 아래 기본 정책 관리 섹션을 참고하십시오.